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NOVELTY - Installation includes a serial field bus (10) to which a master 
control device (20) and a number of bus subscribers (30,4 0,50) are 
connected. Safety-related devices which carry out safety functions such 
as e.g. a stop function or emergency off function are placed in the master 
control device and in the bus subscribers. The safety- related devices 
(80) can communicate with each other by way of the field bus. 

DETAILED DESCRIPTION - Each bus subscriber is connected to the field 
bus by a bus connecting device. Each bus subscriber and master control 
device has at least one input connected to a monitoring device, e.g. 
sensor. Each bus subscriber and master control device has at least one 
output connected to a device to be safeguarded. 

An INDEPENDENT CLAIM is included for a process for the transmission 
Of safety-related data in a control and data installation. 

USE - For safeguarding devices such as robots, machines and the like. 

ADVANTAGE - The field bus system, in particular the inter- bus safety 
procedures are improved and there is no need for additional lines for the 
transmission of control signal or redundant safety-related units. 

DESCRIPTION OF DRAWING(S) - The figure shows a block circuit diagram 
of a control data-transmission installation. 

serial field bus 10 

master control device 2 0 

bus subscribers 30,40,50 

safety-related devices 80 
Dwg. 1/4 
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@ Steuer- und Datenubertragungsanlage und Verfahren zum Ubertragen von sicherheitsbezogenen Daten 

(g) Die Erfindung betrifft eine Steuer- und Datenubertra- 
gungsanlage sowie ein Verfahren zur Obertragung von si- 
cherheitsbezogenen Daten in einer Steuer- und Daten- 
ubertragungsaniage. 

Der Erfindung liegt die Aufgabe zugrunde, bestehende 
Feldbussysteme, insbesondere den Interbus, sicherheits- 
technisch derart zu verbessern, dalS weder zusatzliche 
Leitungen zur Obertragung von Steuersfgnalen noch red- 
undante, sicherheitsbezogene Baugruppen erforderlich 
sind. 

Die Erfindung erreicht dies dadurch, dafi in der Master- 
Steuereinrichtung (20) und in den Busteilnehmer (30, 40, 
50) jeweils eine sicherheitsbezogene Einrichtung (210; 80) 
zum Ausfuhren von vorbestimmten Sicherheitsfunktio- 
nen angeordnet ist und daB die sicherheitsbezogenen 
Einrichtungen (80; 210) iiber den Feldbus (10) miteinan- 
I der kommunizieren konnen. 
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Beschreibung 



Die Erfindung betiifft eine Sleuer- und Datenubertra- 
gungsanlage gemaB dem Oberbegriff des Anspruchs 1 so- 
wie ein Verfahren zum Ubertragen von sicherheitsbezoge- 
nen Dalen in einer solchen Anlage nach Anspruch 11. 

Seii mehreren Jahren werden auf dem Gebiet der Auto- 
matisierung immer haufiger Feldbussysierae eingesetzt, an 
die Eingabe-ZAusgabe-Gerate sowie eine iibergeordnete 
Steuereinhchtung angeschaltet sind. Mit solchen Feldbussy- 
stemen kann der Verkabelungsaufu'and deutlich verringert 
werden, da Kupferleitungen eingespart werden konnen. Da- 
niil die Feldbussysteme den geforderten sicherheitstechni- 
schen Anforderungen gerecht werden, miissen bestinunte 
Sicherheilsfianktionen, wie z. B. eine Stopp-Funklion oder 
eine Not-Aus-Funktion, durch die das Feldbussystem in ei- 
nen sicheren Zustand gefahren werden kann, realisiert wer- 
den. Bel bisher bekannten Feldbussystemen erfolgt die 
Obertragung der dazu erforderlichen Steuersignale jeweils 
uber parallele Einzelleitungen, d. h. nicht iiber den Feldbus 
selbsl. Andere bekannte Ansatze bestehen darin, all diejeni- 
gen Einrichtungen, die Sicherheitsfunktionen ausfiihren sol- 
len, entsprechend redundant auszulegen. Den bekannien 
Techniken haftet der Nachteil an, daB entweder ein hohes 
Mafi an redundanten Bauteilen erforderlich isl, oder zur 
Obertragung der zusatzlichen Steuersignale parallele Ein- 
zelleitungen benotigt werden. 

Der Erfindung liegt daher die Aufgabe zugrunde, die ein- 
gangs genannte Steuer- und Daieniibenragungsanlage mit 
einem seriellen Feldbus derart zu verbessem, dafi die oben- 
genannlen Nachteile vermieden werden und die Rexibilitat 
der Anlage gesteigert werden kann, indem auf einfache Art 
und Weise Hersteller-unabhangige sicherheitsbezogene 
Baugruppen in der Anlage integrierl werden konnen. 

Dieses technische Problem lost die Erfindung zum einen 
mit den Merkmalen des Anspruchs 1. 

Kemgedanke der Erfindung ist es, ein Feldbussystem mit 
Sicherheitsfunktionen auszustatlen, die beispielsweise die 
Kategorie 3 bzw. 4 der europaischen Norm EN 954-1 (Stand 
1996) und die Anforderungsklassen 4 bzw. 6 nach DIN V 
19 250 (Stand Mai 1994) erfuUen. 

Dazu ist eine Steuer- und Dateniibertragungsanlage mit 
einem seriellen Feldbus vorgesehen, an den eine Master- 
Steuereinhchtung und mehrere Busteiinehmer, das sind bei- 
spielsweise Eingabe-ZAusgabe-Gerate, angeschaltet sind. 
Sowohl in der Master-Steuerdnrichtung als auch in den 
Busteilnehmem ist jeweils eine sicherheitsbezogene Ein- 
richtung zum Ausfiihren von vorbestimmten Sicherheits- 
funktionen angeordnei. Unler einer sicherheitsbezogenen 
Einrichtung ist eine Einrichtung zu verstehen, die im we- 
sentlichen unter Ansprechen auf Zustandsinformationen der 
Anlage vorbestimmte Sicherheitsfunktionen ausfiihrt, die 
emioglichen, daB die gesamte Anlage, vorbestimmte Bau- 
gruppen Oder Abschnitte der Anlage einen sicheren Zustand 
enreichen konnen. Sicherheitsfunktionen umfassen bei- 
spielsweise eine Stopp-Funktion, die die gesamte Anlage 
Oder bestinunte Abschnitte der Anlage so schnell wie notig 
in einen sicheren Zustand uberfuhren kann. Auch die Not- 
Aus-Funktion ist eine Sicherheitsfunkdon, mit der das ge- 
samte System in einen sicheren Zustand gefahren werden 
kann, Weitere Sicherheitsfunktionen betreffen z. B. das Ver- 
riegeln von Turen, einen unbeabsichtigten Wederanlauf im 
Fehlerfall der Anlage oder eines vorbestimmten Bereichs 
und andere. beispielsweise in der Europa-Norm EN 954-1 
definierte Funktionen. Im Unterschied zum Stand der Tech- 
nik, nach dem entweder redundante Bauteile fiir sicherheits- 
technische MaBnahmen implementiert werden, oder paral- 
lele Leilungen zur Ubenragung der notwendigen Steuersi- 



gnale erforderlich sind, sind die sicherheitsbezogenen Ein- 
richtungen gemaB der Erfindung ohne Redundanz in der 
Master-Steuereinrichtung und sind den Busteilnehmem im- 
plementiert und in der Lage, uber den Feldbus selbst mitein- 
5 ander zu kommunizieren. 

Jeder Busieilnehmer ist uber eine Bus-Anschalteinrich- 
tung an den Feldbus angeschlossen. Die Bus-Anschaltein- 
richtung kann einen ASIC-Baustein aufweisen, in dem das 
Datenubertragungsprotokoli implementiert ist. Bei dem Da- 
10 teniibertragungsprotokoll kann es sich beispielsweise um 
das Interbus-Protokoll handeln, wenn als Feldbus ein Inter- 
bus zum Einsatz koramt. Die Bus-Anschalteinrichtung dient 
dazu, die zwischen den sicherheitsbezogenen Einrichtungen 
auszutauschenden sicheriieitsbezogenen Daten in den Nutz- 

15 datenfeldem vorbestinunter Datenrahmen iiber den Feldbus 
zu uberu-agen. Sofcm ein Interbus-Protokoll verwendel 
wird, ist der Datenrahmen ein Sununenrahmen, in dem die 
Nutzdaten aller angeschalteter Busteilnehmer enthalten 
sind, Als sicherheitsbezogene Daten werden in der gesamten 

20 Beschreibung und in den Anspruchen Daten verstanden, die 
den Sicherheitszustand des jeweiligen Bus-Teilnehmers 
Oder auch der Master-Sicherheitseinrichtung darstellen. Die 
Sicherheitszustande eines Bus-Teilnehmers werden von 
Uberwachungseinrichtungen, insbesondere Sensoren erfaBt, 

25 die den zu sichemden Baugruppen, die an dem jeweiligen 
Busteilnehmer angeschaltet sind, zugeordnet sind. Bei- 
spielsweise erfaBt ein Sensor die Drehzahl einer Maschine. 
In diesem Fall zeigen die sicherheitsbezogenen Daten an, ob 
die Drehzahl der Maschine im Toleranzbereich liegt oder 

30 eine kritische Drehzahl iiberschritlen hat. Es ist moglich, 
dafl die MAster-Steuereinrichtung und die Busteilnehmer 
die zu iibertragenenden sicherheitsbezogenen Daten in die 
Nutzdatenfelder des jeweiligen Bus-Teilnehmers einzubet- 
ten, so daB die fiir die Master-Steuereinrichtung bestinrmnten 

35 Nutzdaten und die sicherheitsbezogenen Dalen des Busteil- 
nehmers in demselben Buszyklus iibertragen werden kon- 
nen. Daruber hinaus ist es denkbar, die sicherheitsbezoge- 
nen Daten eines Busteilnehmers in dem Nutzdatenfeld wah- 
rend eines separaten Buszyklus zu iibertragen. 

40 In einer bevorzugten Weiterbildung weist die sicherheits- 
bezogene Einrichtung jedes Busteilnehmers und/oder der 
Master-Steiiereinrichtimg wenigstens einen Eingang auf, 
der mit der Uberwachungseinrichtung, beispielsweise einem 
Sensor verbunden ist. Die sicherheitsbezogene Einrichtung 

45 ist derart ausgebildel, dafi sie das Ausgangssignal der Uber- 
wachungseinrichtung negiert und aus dem Ausgangssignal 
und/oder dessen negiertem Ausgangssignal eine Priifinfor- 
mation erzeugt, die zusammen die zu iibertragenden sicher- 
heitsbezogenen Informationen des jeweiligen Busteilneh- 

50 mers darstellen. Auf diese Weise kann die Anlagensicher- 
heit weiter gesteigert, da bei einer fehlerhaften Ubertragung 
der sicherheitsbezogenen Daten die richdge Information 
entweder aus den negierten Daten oder der Priifsumme ge- 
wonnen werden kann. Mit diesem Verfahren kann eine Bit- 

55 fehlerwahrscheinlichkeit von 10"^^ realisiert werden. 

In an sich bekannter Weise weist jeder Busteilnehmer 
und/oder die Master-Steuereinrichtung wenigstens einen 
Ausgang auf, der mit einer zu sicherenden Einrichtung ver- 
bunden ist. Wie bereits erwahnt, kann es sich bei den zu si- 

60 chemden Einrichtungen um Roboter, Maschinen und ahnli- 
ches handeln. 

GemaB einer vorteilhaften Weiterbildung ist jeder Aus- 
gang uber einen Schalter mit der Bus-Anschalteinrichtung 
und unmiitelbar mit der sicherheitsbezogenen Einrichtung 
65 des jeweiligen Busteilnehmers und/oder der Master-Steuer- 
einrichtung verbunden. In Abhangigkeit von dem Aus- 
gangssignal der einer zu sichemden Einrichtung zugeordne- 
ten Oberwachungseinrichtung offnet oder schlieBt die si- 
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cherheitsbezogene Einrichlung den Schalter. Mil anderen 
Worten wird die zu sichemde Einrichlung in einen sicheren 
Zustand gefahren, d. h. von der Anlage abgeschaltet, wenn 
ein Fehler aufgetreten ist. An dieser Sielle sei bereits er- 
wahnt, daB die infolge eines erfaBten Fehlers auszufuhrende 5 
Sicherheilsfunktion entweder durch das Ausgangssignal der 
jeweiligen Ubewachungseinrichtung erfolgt, oder durch 
entsprcchende, von der Master-Steuereinrichtung erzeugte 
und zur sicherheilsbezogenen Einrichtung des jeweiligen 
Busteilnehmers iiberlragene sicherheilsbezogenen Daien lO 
ausgelost wird. 

GemaB einer vorteilhaflen Weiterbildung ist der Master- 
Steuereinrichtung eine iibeigeordnete Steuereinheit zuge- 
ordnet, die in Abhangigkeit von den sicherheilsbezogenen 
Daten der Busteilnehmer eine oder mehrere vorbestimmte 15 
Sicherheitsfunklionen auslosen kann. So konnen bdspiels- 
weise je nach Art des in einem Busteilnehmer ermittelien 
Fehlers entweder die an diesen Busteibehmer angeschalte- 
ten zu sichemden Einrichtungen alleine, vorbestimmte Be- 
reiche der Anlage oder sogar die gesamte Anlage abgeschal- 20 
tet werden. 

Damil die Master-Steuereinrichtung die sicherheilsbezo- 
genen Daten der Busteilnehmer aus dem Datenrahmen aus- 
lesen kann, weist sie eine Empfangseinrichtung, eine Aus- 
wertungseinrichtung zum Auswerlen der empfangenen si- 25 
cherfaeitsbezogenen Daten und eine Einrichtung auf, die un- 
ter Ansprechen auf die ausgewerteten Daten neue fur den je- 
weiligen Busteilnehmer bestimmte sicherheitsbezogene Da- 
ten erzeugt, die einer vorbestimmten Sicherheilsfunktion 
entsprechen. Die Empfangseinrichtung ist dariiber hinaus 30 
derail ausgebildet, daB sie die sicherheilsbezogenen Daten, 
deren negierte Daten und die daraus gebildelen Priifinforma- 
tionen des jeweiligen Busteilnehmers empfangen kann, und 
dafi die &zeugungseinrichtung neue sicherheitsbezogene 
Daten, deren negierte Daten und eine daraus gebildete neue 35 
Priifinformation erzeugen und im Nutzdatenfeld eines Da- 
tenrahmens zum jeweiligen Busteilnehmer iibertragen kann. 

Das lechnische Problem wird auch durch die Verfahrens- 
schritte des in Anspruch 11 beanspruchten Verfahrens zum 
Ubertragen von sicherheilsbezogenen Daten in einer Steuer- 40 
und Daienubertragungsanlage gelosl. 

Vorteilhafte Weiterbildungen sind in den Unteransprii- 

chen angegeben. 

Die Erfindung wird nachfolgend anhand eines Ausfuh- 

ningsbeispiels in Verbindung mil den beiliegenden Zeich- 45 

nungen naher erlautert Darin zeigen: 
^ Fig. 1 ein stark vereinfachtes Blockschallbild einer 

Steuer-Datenubertragungsanlage, in der die Erfindung ver- 

wirklicht isl; 

Fig. 2 die Blockschallbilder zweier Busteilnehmer nach so 
Fig. 1, in denen die erfindungsgemafie sicherheitsbezogene 
Einrichtung implementierl isl; 

^ Fig. 3 das Blockschallbild der in Fig. 1 gezeigten Master- 
Steuereinrichtung mil der erfindungsgemaBen sicherheilsbe- 
zogenen Einrichtung; und 55 

Fig. 4 einen beispielhafien Datenrahmen, in dem sicher- 
heitsbezogene Information eines Busteilnehmers enlhalien 
sind. 

Fig. 1 zeigl exemplarisch ein Inlerbus-System fiir eine 
Steuer- und Daienubertragungsanlage, wie sie in der Fachli- 60 
teralur "Interbus-S, Grundiagen und Praxis", Muhtig Buch- 
veriag, Heidelberg, 1994, von Alfredo Baginsky el al. be- 
schrieben wird. An den Interbus 10 sind eine Master-Steuer- 
einrichtung 20 und drei Busteilnehmer 30, 40 und 50 ange- 
schalteu Es sei ausdriicklich darauf hingewiesen, daB dies 65 
eine beispielhafte Ausfuhrungsfomi ist, wobei die Erfin- 
dung auf andere Feldbusse sowie auf Sysleme aus mehreren 
zusammengeschallelen Feldbusscn anwendbar ist. Der Bus- 



teilnehmer 30 ist mil einem an sich bekannien Schutzgitier 
60 zur Uberwachung von an den Busteilnehmer 30 ange- 
schalleien Maschinen, Roboter und dergleichen, verbunden. 

In Fig. 2 sind die Busteilnehmer 30 und 40 in Block- 
schallbildform detaillierter dargestellt. Da der schaltungs- 
technische Aufbau der Busteilnehmer im wesentlichen iden- 
tisch ist, wird nur der Aufbau des Busteilnehmers 30 naher 
beschrieben. Der Busteilnehmer 30 isl uber eine Busan- 
schalleinrichlung 70 an den Interbus 10 angeschallet. Die 
Busanschalteinrichtung 70 kann einen ASIC-Bauslein auf- 
weisen, auf dem das an sich bekannte Interbus-Dateniiber- 
iragungsprotokoll implementierl ist Femer ist in dem Bus- 
leihiehmer 30 eine sicherheitsbezogene Schaltungsanord- 
nung 80 implementierl, die im Sinne der Erfindung die si- 
cheriieilslechnische "Qberwachung des Busteilnehmers 30 
iibemehmen kann. Die Sicherheitsfunklionen, die die si- 
cherheitstechnische Schaltungsanordnung 80 ausfuhren 
kann, sind in verschiedenen Normen bereits definien, Dar- 
iiber hinaus lassen sich alle denkbaren Sicherheitsfunklio- 
nen durch die sicherheitsbezogene Schaltungsanordnung 80 
verwiridichen. Dazu weist die sicherheitsbezogene Schal- 
tungsanordnung 80 einen Sicherheitsbausiein 90 auf, in dem 
ein vorbeslimmles Sicherheitsprotokoll, das an sich bekannt 
sein kann, implementierl ist. Der Sicherheitsbausiein 90 
fuhrt beispielsweise in Obereinstimmung mil der EN 954-1 
regelmaBige Selbsltests durch, Dazu ist eine Ausgangslei- 
tung 94 mil Schaltem 95 und 96 verbunden, uber die die 
Sensoren 100 bzw. 102 mil den Eingangen 92 und 93 ver- 
bunden sind. 

Diese Art von Selbsttest ist an sich bekannt. Der Sicher- 
heitsbausiein 90 weist beispielsweise zwd Eingange 92 und 
93 auf, die mil einem Sensor 100 bzw. 102 verbunden sind, 
die zu uberwachenden Einrichtungen zugeordnet sind. Bei- 
spielsweise uberwacht der Sensor 100 die Drehzahl einer 
Drehmaschine 110 und der Sensor 102 einen SchweiBrobo- 
ler 120. An die Eingange des Sicherheitsbausteins 90 kann 
auch das in Fig. 1 gezeigte Schutzgitier 60 angeschallet sein. 
Der Ausgang des Sensors 100 isl, wie bereils gezeigt, mil 
dem Eingang 92 des Sicherheitsbausteins 90 und unmittel- 
bar rait einem Eingang der Busanschalteinrichtung 70 ver- 
bunden. Auf ahnliche Weise ist der Ausgang des Sensors 
102 mil dem Eingang 93 des Sicherheitsbausteins 90 und 
unmiltelbar mil einem Eingang der Bus-Anschalleinrich- 
lung 70 verbunden. Der Sicherheitsbausiein 90 dient dazu, 
die von den Sensoren 100 und 102 kommenden Eingangsda- 
ten, nachfolgend als die eigentiichen sicherheitsbezogene 
Daten bezeichnet, zu negieren, und als sicherheitsbezogene 
negierte Daten der Bus-Anschalteinrichtung 70 zuzuflihren. 
Dariiber hinaus erzeugt der Sicherheitsbausiein 90 aus den 
negierten sicherheilsbezogenen Daten und/oder aus den 
nicht negierten sicherheilsbezogenen Daten eine Priifinfor- 
mation, die ebenfalls der Bus-Anschalteinrichtung 70 zuge- 
fiihrt wird. Die sicherheilsbezogenen Daten, die negierten 
sicherheilsbezogenen Daten und die Prufinformation bilden 
die sicherheitsbezogene Information. Diese MaBnahme 
sorgt dafur, das Sicherheiisverhalten des Interbus- Systems 
zu verbessem, da die Datenubertragungssicherheil erhoht 
wird. Naliirlich ist es moglich, nur die sicherheilsbezogenen 
Daten der Bus-Anschalteinrichtung 70 zuzufuhren, Es sei 
noch einmal erwahnl, daB es sich bei den sicherheilsbezoge- 
nen Daten um die eigentiichen Zustandsdalen des Busteil- 
nehmers 30, spezieller um die Zustandsdalen der an ihn an- 
geschaltelen zu sichemden Einrichtungen 110 und 120 han- 
pie Bus-Anschalteinrichtung 70 erzeugt einen ge- 
wohnlichen Datenrahmen, beim Beispiel des Interbus-Sy- 
stems einen Summenrahmen, in dem hintereinander die Ein- 
gangsdalen der angeschalteten Busteihiehmer 30, 40 und 50 
enlhalien sind, die zur Master-Steuereinrichtung 20 iibertra- 
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gen werden soUen. Fig. 4 zeigt einen beispielhaften Inter- 
bus-Summenrahmen 125» der z. B. ein sogenanntes Loop- 
Back- Wort enlhalt, das die Masler-Steuereinrichtung 20 er- 
zeugl hat Ein weiteres Feld isl der PrOfsumme gewidmei. In 
den Feldem 130, 140 und 150 sind die Nutzdaten des Bus- 
teilnehmers 30, 40 bzw. 50 enthalten. Der Summenrahmen 
125 wird einem Buszyklus zur Master-Steuereinrichtung 20 
iibertragen. ErfindungsgemaB hat die Bus-Anschalieinrich- 
tung 70 nunmehr die Aufgabe, die sicherheitsbezogenen In- 
formationen des Busteilnehmers 30 in das ihm zugeordnete 
Feld 130 einzuschreiben. In unserem Beispiel werden die si- 
cherfaeitsbezogenen Daten der Sensoren 100 und 102 in das 
Feld 132, die negierten sicherheitsbezogenen Daten in das 
Feld 134 und die berechnete Priifinformation in das Feld 136 
eingeschrieben. Es sei angemeikt, daB die in den Feldem 
132, 134 und 136 stehenden sicherheitsbezogenen Daten 
entweder das gesamte Nutzdatenfeld 130 des Busteilneh- 
mers 30 besetzen und in einem separaten Buszyklus iibertra- 
gen werden oder aber nur einen Teil des Nutzdatenfeldes 
150 belegen und somit zusanunen mit den Nutzdaten des 
Busteilnehmers 30 in demselben Buszyklus zur Master- 
Steuereinrichtung 20 ubertragen werden konnen. Dadurch 
kann eine effektivere Dateniibertragung erzielt werden. Die 
Busteilnehmer 30, 40 und 50 konnen nicht nur sicherheits- 
bezogene Informationen zur Master-Steuereinrichtung 20 
iibertragen, sondem im Gegenzug auch sicherheitsbezogene 
Daten oder Informationen von der Master-Steuereinrichtung 
20 empfangen. Dazu liest die Bus-Anschalteinrichtung 70 
aus einem Nutzdatenfeld eines Summenrahmens die fiir den 
Busteilnehmer 30 besdmmten sicherheitsbezogenen Infor- 
mationen aus, die wiederum aus den eigentlichen sicher- 
heitsbezogenen Daten, den negierten sicherheitsbezogenen 
Daten und ciner Priifinformation, die allesamt, wie weiter 
unten noch beschrieben wird, in der Master-Steuereinrich- 
tung 20 erzeugt werden. Die Bus-Anschalteinrichtung 70 
weist beispielsweise zwei Ausgange 72, 72 auf. An dem 
Ausgang 72 ist uber einen Schalter 170 die Drehmaschine 
110 und an den Ausgang 73 iiber einen Schalter 180 der 
SchweiBroboter 120 angeschaltet, t)ber die Schalter 170 
und 180 konnen die Drehmaschine 110 und der SchweiBro- 
boter 120 im Bedarfsfall von dem Interbus-System getrennt 
werden. Cfber die Schalter 170 und 180 werden insbeson- 
dere Steuerdaten, ProzeB- und Parameterdaten zu der Dreh- 
maschine 110 bzw. dem SchweiBroboter 120 oder Parame- 
ter- und ProzeBdaten von diesen zur Bus-Anschalteinrich- 
tung ubertragen. Die Ausgange der Schalter 170 und 180 
sind mit dem Sicherheitsbaustein 90 verfoimden. Die Bus- 
Anschalteinrichtung 70 ist ebenfalls mit dem Sicherheits- 
baustein 90 verbunden, um die von der Master-Steuerein- 
richtung 20 empfangenen sicherheitsbezogenen Informatio- 
nen diesem zuzufiihren. Die von der Master-Steuereinrich- 
tung 20 empfangenen sicherheitsbezogenen Daten entspre- 
chen vorbestimmten Sicherheitsfunktionen, die von dem Si- 
cheiiieitsbaustein 90 ausgefuhrt werden. Dazu ist der Si- 
cheriieitsbaustein 90 ebenfalls mit den Schaltem 170 und 
180 verbunden. Der Sichedidtsbaustein 90 eiiialt von der 
Bus-Anschalteinrichtung 70 die von der Master-Steuerein- 
richtung 20 kommenden sicherheitsbezogenen Daten, ne- 
gierten sicherheitsbezogenen Daten und die Priifinforma- 
tion, die er zur Erraitdung der entsprechenden Sicherheits- 
funktion benotigt. Beispielsweise interpretiert der Sicher- 
heitsbaustein 90 die von der Master-Steuereinrichtung 20 
kommenden sicherheitsbezogenen Daten dahin, dafi die 
Drehzahl der Drehmaschine 110 einen kritischen Wert iiber- 
schritten hat, und daB beispielsweise eine Person in den Si- 
cherheiisbereich des SchweiBroboters eingedrungen isl. 
Daraufhin wird eine vorbestimmte Sicherheitsfiinktion aus- 
gelost, die bewirkt, daB die Schalter 170 und 180 geoffnet 



werden, so daB die Drehmaschine 110 und der SchweiBro- 
boter 120 von dem INTERBUS 10 abgeirennt werden kon- 
nen. Mit der Zuriickflihrung der Ausgange der Schalter 170 
und 180 auf den Sicherheitsbaustein 90 wird die Sicherheit 

5 des Systems weiter verbesserL So ist es denkbar, daB die von 
der Master-Steuereinrichtung 20 kommenden sicherheitsbe- 
zogenen Information derart verfalscht worden sind, daB sie 
einen fehlerfreien Zustand widerspiegeln. Tatsachlich aber 
sind in der Drehmaschine 110 und dem SchweiBroboter 120 

10 Fehler aufgeu-eien. Durch die riickgefuhrten Ausgange der 
Schalter 170 und 180 ist der Sicherheitsbaustein 90 in der 
Lage, die tatsachlichen Zustandswerte mit den von der Ma- 
ster-Sicherheitseinrichtung 20 empfangenen sicheriieitsbe- 
zogenen Informationen zu veigleichei} und die Schalter 170 

15 und 180 zu offhen oder ofFen zu halten, wenn die Daten 
nicht iibereinstimmen. 

Der Sicherheitsbaustein 90 kann weitere MaBnahmen in 
tJbereinsdmmung mit der EN 954-1 enthalten, wie z. B. den 
erwahnten regelmaBig durchgefuhrten Selbsttest sowie ei- 

20 nen Hmer, der beispielsweise nach 40 ms die Schalter 170 
und 180 offnet, um die Drehmaschine 110 und den SchweiB- 
roboter 120 in einen sicheren Ztistand zu schalten, wenn 
keine giilUgen sicherheitsbezogenen Daten erkannt worden 
sind. 

25 Fig. 3 zeigt ein Blockschaltbild der in Fig. 1 dargesteUten 
Master-Steuereinrichtung 20. AUerdings sind nur die erfin- 
dungswesentlichen Merkmale dargestellt. Die Master-Steu- 
«reinrichtung 20 enthalt eine iibergeordnete Steuereinheil 
200, deren Funktion spater noch ausfiihrlich beschrieben 

30 wird. Dariiber hinaus ist in der Master-Steuereinrichtung 20 
eine sicherheitsbezogene Schaltungsanordnung 210 imple- 
mentiert. Femer weist die Master-Steuereinrichtung 20 eine 
nicht dargesiellte Empfangseinrichtung auf, die aus den 
Nutzdatenfeldem eines empfangenen Summenrahmen, bei- 

35 spielsweise aus dem in Fig. 4 gezeigten Summenrahmen 
125, die sicherheitsbezogenen Informationen der Busteil- 
nehmer 30, 40 und 50 auslesen kann. Beispielhaft werden 
die in dem Nutzdatenfeld 130 iibertragenen sicherheitsbezo- 
genen Daten des Busteilnehmers 30 betrachtet Die Emp- 

40 fangseinrichtung fiihrt die eigentiichen sicherheitsbezoge- 
nen Daten, die in dem Unterfeld 132 enthalten sind, einer er- 
sten Priifschaltung 220 zu. Die negierten im Unterfeld 134 
enthaltenen sicherheitsbezogenen Daten werden einer zwei- 
ten Priifschaltung 225 zugefuhrt. Die im Unterfeld 136 iiber- 

45 tragene Priifinformation wird sowohl der Priifschaltung 220 
als auch der Priifschaltung 225 zugefuhrt. Die Priifschaltun- 
gen 220 und 225 werten die empfangenen Daten aus. Die 
Priifiingsscbaltung 220, die die eigentlichen sicherheitsbe- 
zogenen Daten verarbeitet, ist mit einer Logikschaltung 230 

50 verbunden und fiihrt ihre Ausgang sdaten der iibergeordne- 
ten Steuereinheit 200 zu, wahrend die Priifschaltung 225 
ausgangsseitig mit einer Logikschaltung 235 verbunden. 
Die iibergeordnete Steuereinheit 200 erzeugt unter Anspre- 
chen auf das Ausgangssignal der Priifschaltung 220 ein von 

55 den sicherheitsbezogenen Daten des Busteilnehmers 30 ab- 
hangiges Steuersignal, das der Logikschaltung 230 und der 
Logikschaltung 235 zugefuhn wird. Die Logikschaltung 
235 erzeugt aus dem Ausgangssignal der Priifschaltung 225 
und dem Steuersignal der iibergeordneten Steuereinrichtung 

60 200 die eigentlichen sicherheitsbezogenen Daten, die fiir 
den Busteilnehmer 30 bestimmt sind. Die Logikschaltung 
230 ermittelt aus dem Steuersignal der iibergeordneten Steu- 
ereinheit 200 und den Ausgangsdaten der Priifschaltung 220 
ein Ausgangssignal, das einer Schaltung 240 zugefiihrt 

65 wird, die ein Ausgangssignal liefert, das den negierten si- 
cherheitsbezogenen Daten der Logikschaltung 235 ent- 
spricht. Die Schaltung 240 erzeugt femer entweder eine 
Priifinformation aus den negierten sicherheitsbezogenen 



DE 197 4: 

7 

Daten und/oder aus den eigentlichen sicherheitsbezogenen 
Daten. Die eigentlichen sicherheitsbezogenen Daten, die ne- 
gienen sicherheitsbezogenen Daten und die Priifinfomia- 
lion, die zusammenfassend als sicherheitsbezogene Infor- 
mation bezeichnei werden, werden von der sicherheitsbezo- 5 
genen Schaltungsanordnung 210 wieder in das Nutzdaten- 
feld eines Summenrahmens eingeschrieben, das fur den 
Busteilnehmer 30 bestimmt ist. Die Masier-Steuereiniich- 
tung 20 ist auch in der Lage, die sicherheitsbezogenen Infor- 
mationen aller angeschalteter Busteilnehmer 30, 40 und 50 lO 
auf diese Art und Weise zu verarbeiten und in die enlspre- 
chenden Nutzdatenfelder eines Summenrahmens einzu- 
schreiben. 

Unter der Steuening der ubergeordneten Steuereinheit 
200 kann die sicherheitsbezogene Schaltungsanordnung 210 15 
der Master-Steuereinrichtung 20 wahrend jedes Buszyklus 
Oder in vorbesiimmten Buszyklen vorbestimmte, d. h. ein- 
deutig definierte sicherheitsbezogene Informationen in den, 
den Busteilnehmem 30, 40 und 50 zugeordneten Nutzdaten- 
feldem eines Summenrahmens zu den Busteihiehmem 30, 20 
40, 50 ubertragen. Die sicheriieitsbezogenen Einrichtungen 
80 der Busteilnehmer 30, 40 und 50 sind derart ausgebildet, 
daB sie unter Ansprechen auf den tatsachlichen Zustand des 
jeweiHgen Busteilnehmers bzw. auf den Zustand der an den 
Busteilnehmer angeschalteten Eingabe-ZAusgabeseinrich- 25 
tungen die empfangenen vorbestimmten sicherheitsbezoge- 
nen Daten verandert oder unverandert zur Master-Steuerein- 
richtung 20 zuriicksenden konnen. Die Master-Steuerein- 
richtung 20 vergleicht die in den Nulzdatenfeldem des Sum- 
menrahmens empfangenen Busteilnehmer-spezifischen, si- 30 
cherheitsbezogenen Informationen mit den vorbestimmten 
sicherheitsbezogenen Informationen. Stimmen die sicher- 
heitsbezogenen Informationen iiberein, werden keine Si- 
cherhcitsfunktionen ausgelost V^nn allerdings die empfan- 
genen sicherheitsbezogenen Informationen nicht mit den 35 
vorbestimmten sicherheitsbezogenen Informationen iiber- 
einstimmen, kann unter der Steuening der iibeigeordneten 
Steuereinheit 200 die sicheriieitsbezogene Schaltungsanord- 
nung 210 sofort entsprechende sicherheitsbezogene Infor- 
mationen erzeugen, die entsprechenden Sicherheitsfunktio- 40 
nen entsprechen. Diese sicherheitsbezogenen Informationen 
werden entweder von der sicherheitsbezogenen Schaltungs- 
anordnung 210 der Master-Steuereinrichtung 20 verwendet, 
um beispielsweise eine Not-Aus-Funktion auszulosen, die 
das gesamte System in einen sicheren Zustand fahrt. Ande- 45 
rerseits ist es moglich, daB diese sicherheitsbezogenen In- 
formationen zu den angeschalteten Busteilnehmem 30. 40 
iind 50 ubertragen werden, deren sicherheitsbezogene 
Schaltungsanordnungen 70 unter Ansprechen auf die emp- 
fangenen sicherheitsbezogenen Informationen die jeweili- 50 
gen Sicherheitsfunktionen auslosen. Um die Sicherheit des 
Gesamtsystems zu verbessem, konnen die vorbestimmten 
sicherheitsbezogenen Informationen ein zweiies Mai zu 
dem Busteilnehmem 30, 40 und 50 ubertragen werden, die 
dann wiederum in Abhangigkeit ihres Zustandes diese Vor- 55 
bestimmten sicherheitsbezogenen Informationen verandert 
Oder unverandert zur Master-Steuereinrichtung 20 zuriick- 
senden. 

Dank der Erfindung, mit der die sicherheitstechnischen 
MaBnahmen zum einen in der Master-Steuereinrichtung 20 60 
und zum anderen in jedem Busteilnehmer 30, 40 bzw. 50 
implementiert werden, wobei die sicherheitsbezogenen Da- 
ten Oder Informationen in den Nutzdatenfeldem des Inter- 
bus-Summenrahmens ubertragen werden, ist es mogUch, 
das System jederzeit mit herstellerunabhangigen Baugrup- 65 
pen zu erweilem, und die in der iibeigeordneten Steuerein- 
heit 200 ablaufende Applikauon zu verandem, ohne daB da- 
durch die sicherheitstechnischen Funktionen beeinu-achtigt 
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werden. 

Patentanspruche 

1. Steuer- und Datenubertragungsanlage umfassend 
einen seriellen Feldbus (10), an den eine Master-Steu- 
ereinrichtung (20) und mehrere Busteilnehmer (30, 40, 
50) angeschaliet sind, dadurch gekennzeichnet, daB ' 
in der Master-Steuereinrichtung (20) und in den Bus- 
teilnehmem (30, 40, 50) jeweils eine sicherheitsbezo- 
gene Hnrichtung (210; 80) zum Ausfuhren von vorbe- 
stimmten Sicherheitsfunktionen angeordnet ist und daB 
die sicheriieitsbezogenen Einrichtungen (210; 80) uber 
den Feldbus (10) miteinander konmiunizieren konnen. 

2. Steuer- und Datenubertragungsanlage nach An- 
spruch 1, dadurch gekennzeichnet, daB jeder Busteil- 
nehmer (30, 40, 50) uber eine Bus-Anschalteinrichtung 
(70) an den Feldbus (10) angeschlossen ist, wobei die 
Bus-Anschalteiririchtungen (70) die zwischen den si- 
cherheitsbezogenen Einrichtungen (80; 210) auszutau- 
schenden sicherheitsbezogenen Daten, die den Sicher- 
heitszustand des jeweiligen Bus-Teilnehmers (30, 40, 
50) darstellen, in den Nutzdatenfeldem (130, 140, 150) 
vorbestimmter Datenrahmen (125) uber den Feldbus 
(10) ubertragen. 

3, Steuer- und Datenubertragungsanlage nach An- 
spruch 1 Oder 2, dadurch gekennzeichnet, daB die si- 
cherheitsbezogene Einrichtung (80; 210) jedes Busteil- 
nehmers (30, 40, 50) und/oder der Master-Steuerein- 
richtung (20) wenigstens einen Eingang (92, 93) auf- 
weist, der mit einer Uberwachungseinrichtung (100, 
102) verbunden ist, wobei die sicherheitsbezogene Ein- 
richtung (80, 210) das Ausgangssignal der Uberwa- 
chungseinrichtung (100, 102) negiert und aus dem 
Ausgangssignal und/oder dessen negiertem Ausgangs- 
signal eine Priifinformation erzeugt, die die zu ubertra- 
genden sicherheitsbezogenen Daten darsteUen. 

4. Steuer- und Datenubertragungsanlage nach einem 
der Anspriiche 1 bis 3, dadurch gekennzeichnet, daB je- 
der Busteihiehmer (30, 40, 50) und/oder die Master- 
Steuereinrichtung (20) wenigstens einen Ausgang (72, 
73) aufweist, der mit einer zu sichemden Einrichtung 
(110, 120) verfjunden ist. 

5. Steuer- und Datenubertragungsanlage nach An- 
spruch 4, dadurch gekennzeichnet, daB jeder Ausgang 
(72, 73) iiber einen Schalter (170, 180) mit der Bus-An- 
schalteinrichtung (70) und unmittelbar mit der sicher- 
heitsbezogenen Einrichtung (90) des jeweiUgen Bus- 
teilnehmers (30, 40, 50) und/oder der Master-Steuer- 
eiiuichtung (20) verbunden ist. 

6. Steuer- und Datenubertragungsanlage nach An- 
spruch 5, dadurch gekennzeichnet, daB die sicheriieits- 
bezogene Einrichtung (80; 210) unter Ansprechen auf 
das Ausgangssignal der entsprechenden Uberwa- 
chungseinrichtung (100, 102) den Schalter (170, 180) 
ofifnet Oder schlieBt. 

7. Steuer- und Datenubertragungsanlage nach einem 
der Anspriiche 2 bis 6, dadurch gekennzeichnet, daB 
die sicheriieitsbezogene Einrichtung (210) der Master- 
Steuereinrichtung (20) eine Empfangseinrichiung zum 
Empfangen der sicherheitsbezogwien Daten jedes Bus- 
teilnehmers, eine Auswertungseinrichtung (220, 225) 
zum Auswerten der empfangenen sicherheitsbezoge- 
nen Daten und eine Einrichtung (200, 230, 235, 240) 
aufweist, die unter Ansprechen auf die ausgewerteten 
Daten neue fur den jeweiligen Busteilnehmer (30, 40, 
50) bestimmte sicherheitsbezogene Daten erzeugt, die 
einer vorbestimmten Sicherheitsfunktion entsprechen. 
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8. Sieuer- und Daieniibenragungsanlage nach An- 
spruch 3 und 7, dadurch gekennzeichnet, daB die Enip- 
fangseinrichiung zum Empfangen der sicherheitsbezo- 
genen Daien, dercn negienen Daten und der Priifinfor- 
mation ausgebildet ist, und daB die Erzeugungseinrich- 5 
tung (200, 230, 235, 240) zum Erzeugen der neuen si- 
cherheitsbezogenen Daten, deren negierter Daten und 
einer neuen Prufinformation ausgebildet ist. 

9. Steuer- und Datenubertragungsanlage nach einem 
der Anspriiche 2 bis 8, dadurch gekennzeichnet, daB 10 
der Feldbus (10) ein INTERBUS nach DIN 19258 und 
der Datenrahmen ein Summenrahmen (125) ist, der die 
Eingangs- oder Ausgangsdaten eines jeden Busteilneh- 
mers (30, 40, 50) enthalt. 

10. Steuer- und Dateniibertragungsanlage nach einem IS 
der Anspriiche 1 bis 9, dadurch gekennzeichnet, daB 
der Master-Steuereinrichtung (20) eine ubergeordnete 
Steuereinheil (200) zugeordnet ist, die in Abhangigkeit 
von den sicherfaeitsbezogenen Daten der Busteilneh- 
mer (30, 40, 50) eine oder mehrere vorbestimmte Si- 20 
cherfaeitsfunklionen auslost. 

11. Verfahren zum Ubenragen von si cherheitsbezoge- 
nen Daten in einer Steuer- und Dateniibertragungsan- 
lage nach einem der Anspriiche 1 bis 10, die einen seri- 
ellen Feldbus (10) und daran angeschaltete Busteilneh- 25 
mer (30, 40, 50) sowie eine daran angeschaltete Ma- 
ster-Steuereinrichtung (20) umfaBt, mit folgenden Ver- 
fahren sschritten: 

a) Implementieren eines Dateniiberiragungspro- 
tokolls und eines Sicherheitsprotokolls zur Aus- 30 
fCihrung vorbestimmter, anlagespezifischer Si- 
cherheitsfiinktionen in jedem Busteilnehmer und 

in der Master-Steuereinrichtung; 

b) unier Ansprechen auf die Ausgangssignale ei- 
ner dem Busteilnehmer zugeordneten tJberwa- 35 
chungseinrichtung erzeugt das entsprechende Si- 
cherheitsprotokoll sicherheilsbezogene Daten, die 
den Zustand des jeweiligen Busteilnehmers wi- 
derspiegeln, und leitet diese an das Dateniibertra- 
gungspiotokoll weiten 40 

c) das DateniibertragimgsprotokoU iibertragt die 
sicherfaeitsbezogenen Daten des jeweiligen Bus- 
teilnehmers in dem Nutzdatenfeld eines vorbe- 
stimmten Datenrahmens iiber den serieUen Feld- 
bus zur Master-Steuereinrichtung; 45 

d) das Sicherheitsprotokoll der Master-Steuerein- 
richtung empfangt die vom Busteilnehmer kom- 
menden sicherheitsbczogenen Daten, erzeugt in 
Abhangigkeit davon neue sicherheitsbezogene 
Daten, die einer vorbestimmten Sicherheitsfiink- 50 
tion entsprechen, imd iibertragt die neuen sicher- 
faeitsbezogenen Daten in dem Nutzdatenfeld eines 
Datenrahmens zu dem entsprechenden Busteil- 
nehmer zuriick; 

e) unter Ansprechen auf die neuen sicherfieitsbe- 55 
zogenen Daten fiihrt das Sicherheitsprotokoll des 
Busteilnehmers die zugehdrige Sicherheitsfiink- 
don aus. 

12. Verfahren nach Anspruch 11, dadurch gekenn- 
zeichnet, daB 60 
in Schritt b) das Sicherheitsprotokoll die sicheriieitsbe- 
zogenen Daten negiert und eine Prufinformation aus 
den sicherfaeitsbezogenen Daten und/oder den negier- 
ten sicherfaeitsbezogenen Daten eine Priifinformation 
bildet und daB 65 
in Schritt d) aus den empfangenen sicherfaeitsbezoge- 
nen Daten und deren negierten Daten sowie der Priifin- 
formation neue sicfaerfaeitsbezogene Daten, neue ne- 



gierte sicherheitsbezogene Daten und eine neue Priifin- 
formation erzeugt werden. 

13. Verfahren nach Anspruch 11 oder 12. dadurch ge- 
kennzeichnet, 

daB die Master-Steuereinrichtung in jedem Buszyklus 
vorbestimmte sicherheitsbezogene Daten zu den ange- 
scfaalteten Busteilnehmem iibertragt, 
daB die Busteilnehmer in Abhangigkeit ihres Sicfaer- 
faeitszustands sicherheitsbezogene Daten erzeugen und 
zur Master-Steuereinrichtung zuriickschicken, die die 
ausgesendeten -vorbestinunten sicherfaeitsbezogenen 
Daten mit den von jedem Busteilnehmer empfangenen 
sicherfaeitsbezogenen Daten veigleicht und vorbe- 
stimmte Sicbexheitsfunktionen ausLost, wenn das Ver- 
gleichsogebnis negativ ist. 
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